Tratamiento de Datos
El detalle técnico: categorías de datos, bases legales, transferencias, subprocesadores y tus derechos.
Última actualización: 14 de octubre de 2026 · Versión 2.1
1. Responsable del Tratamiento
Nombre
Magic Funnel
Plataforma
magicfunnel.app
Contacto Legal (DPO)
legal@magicfunnel.appContacto Soporte
soporte@magicfunnel.app2. Categorías de Datos Tratados
Magic Funnel trata las siguientes categorías de datos personales, dependiendo del rol del titular:
Usuarios / Miembros de la plataforma
Leads / Prospectos generados por los miembros
⚠️ Datos especialmente protegidos
Magic Funnel NO recopila datos sensibles como origen racial, ideología política, creencias religiosas, salud, vida sexual ni datos biométricos.
3. Bases Legales del Tratamiento
| Finalidad | Base Legal (Art. 6 RGPD) | Normativa local |
|---|---|---|
| Prestación del servicio contratado | Ejecución de contrato (6.1.b) | Art. 7 LGPD / Art. 6 Ley 1581 |
| Gestión de pagos y facturación | Ejecución de contrato (6.1.b) + Obligación legal (6.1.c) | Obligación fiscal local |
| Análisis de uso y mejora del servicio | Interés legítimo (6.1.f) | Art. 7 LGPD |
| Comunicaciones de marketing (opt-in) | Consentimiento (6.1.a) | Art. 7 LGPD / Art. 8 Ley 1581 |
| Prevención de fraude y seguridad | Interés legítimo (6.1.f) | Art. 7 LGPD |
| Atribución de leads a distribuidores | Ejecución de contrato (6.1.b) | Art. 7 LGPD |
| Cumplimiento de obligaciones legales | Obligación legal (6.1.c) | Normativas fiscales locales |
4. Transferencias Internacionales de Datos
Algunos de nuestros proveedores de servicio se encuentran fuera del Espacio Económico Europeo (EEE). En estos casos, garantizamos la protección de tus datos mediante los mecanismos legales establecidos:
Cláusulas Contractuales Estándar (SCCs)
Adoptadas por la Comisión Europea para transferencias fuera del EEE. Cubren a Supabase, Vercel, Cloudflare, Hotmart, Stripe y PayPal, Resend, Twilio, Meta, Google, OpenAI, Anthropic, ElevenLabs, HeyGen.
Marco de Privacidad UE-EE.UU. (DPF)
Para proveedores certificados bajo el EU-U.S. Data Privacy Framework vigente desde julio de 2023.
Adequacy Decision
Para países que la Comisión Europea ha declarado con nivel adecuado de protección.
5. Encargados del Tratamiento (Subprocesadores)
Estos son los proveedores que tratan datos personales en nuestro nombre, bajo sus acuerdos de tratamiento de datos (DPA) o, para los de fuera de la Unión Europea y Estados Unidos, bajo contrato de tratamiento. Los de IA solo reciben lo que envías a esa función concreta:
| Proveedor | Función | País | Mecanismo |
|---|---|---|---|
| Supabase | Base de datos y almacenamiento | EE.UU. | SCCs |
| Vercel | Hosting, CDN y analítica de rendimiento | EE.UU. | SCCs + DPF |
| Cloudflare | DNS, seguridad web y archivos (R2) | EE.UU. | SCCs + DPF |
| Hotmart | Cobro de los planes y comisiones de afiliados | Brasil / Países Bajos | SCCs |
| Alivio | Cobro de paquetes de créditos | Colombia | Contrato de tratamiento |
| NOWPayments | Cobro de paquetes de créditos en criptomonedas | Unión Europea | RGPD |
| Stripe y PayPal | Cobros de las comunidades a sus miembros (cuenta del líder) | EE.UU. | SCCs + DPF |
| Resend | Envío de correos | EE.UU. | SCCs |
| Twilio | Llamadas y mensajes de voz | EE.UU. | SCCs + DPF |
| Meta | WhatsApp, Instagram, Messenger y Meta Ads | EE.UU. | SCCs + DPF |
| Calendario, inicio de sesión, Maps y modelos Gemini | EE.UU. | SCCs + DPF | |
| OpenAI | IA: textos, agentes y análisis | EE.UU. | SCCs + DPF |
| Anthropic | IA: textos, agentes y análisis | EE.UU. | SCCs + DPF |
| DeepSeek | IA: textos | China | Contrato de tratamiento |
| ElevenLabs | IA: voz y clonación de voz | EE.UU. | SCCs |
| HeyGen | IA: avatares y video | EE.UU. | SCCs |
| MiniMax | IA: imágenes, voz y video | Singapur | Contrato de tratamiento |
| BytePlus (ByteDance) | IA: imágenes y video (Seedream, Seedance) | Singapur | Contrato de tratamiento |
6. Medidas de Seguridad Implementadas
Cifrado en tránsito
TLS 1.3 en todas las comunicaciones HTTP
Cifrado en reposo
Bases de datos cifradas con AES-256
Hashing de contraseñas
bcrypt con salt — nunca texto plano
Control de acceso (RBAC)
Roles granulares: super_admin, admin, member
Autenticación 2FA
Disponible para cuentas administradoras
Tokens de sesión
JWT cifrados con rotación periódica
Backups automáticos
Copias diarias cifradas con retención de 30 días
Monitoreo de anomalías
Alertas automáticas ante accesos sospechosos
Row Level Security
RLS en Supabase: cada usuario solo accede a sus datos
Auditoría de accesos
Logs de actividad para auditorías de seguridad
7. Derechos de los Interesados (ARCO+)
Puedes ejercer los siguientes derechos escribiendo a legal@magicfunnel.app con tu documento de identidad o comprobante de cuenta:
Acceso (A)
Plazo: 30 díasObtener confirmación de si tratamos tus datos y recibir una copia.
Rectificación (R)
Plazo: 30 díasCorregir datos inexactos o incompletos.
Cancelación / Supresión (C)
Plazo: 30 díasSolicitar la eliminación de tus datos cuando ya no sean necesarios.
Oposición (O)
Plazo: 30 díasOponerte al tratamiento para marketing o cuando se base en interés legítimo.
Portabilidad
Plazo: 30 díasRecibir tus datos en formato estructurado (JSON/CSV) para transferirlos.
Limitación
Plazo: 30 díasSolicitar la restricción del tratamiento en circunstancias específicas.
Reclamaciones: Si consideras que tus derechos no han sido atendidos, tienes derecho a presentar una reclamación ante la autoridad de control de tu país: AEPD (España), ANPD (Brasil), SIC (Colombia), INAI (México).
8. Procedimiento ante Violaciones de Seguridad
En caso de una violación de seguridad que afecte a datos personales, Magic Funnel seguirá el siguiente protocolo:
Detección y contención
Identificar el alcance de la brecha y tomar medidas inmediatas para contener el daño en un máximo de 24 horas.
Notificación a autoridades
Notificar a la autoridad de control competente en un plazo máximo de 72 horas desde el conocimiento de la violación (Art. 33 RGPD).
Notificación a afectados
Si la brecha supone un alto riesgo para los derechos de los titulares, notificarles sin dilación indebida (Art. 34 RGPD).
Investigación y mejora
Analizar las causas, corregir vulnerabilidades y reforzar medidas de seguridad para evitar que se repita.
9. Contacto del Delegado de Protección de Datos
Para ejercer tus derechos o plantear cualquier consulta sobre el tratamiento de tus datos personales:
Responderemos en un plazo máximo de 30 días hábiles. Para solicitudes complejas, podemos extender el plazo otros 30 días adicionales, notificándote previamente.